seguranÇa em programaÇÃo · seguranÇa em programaÇÃo_ nada de novo no front. hello! edilson...
TRANSCRIPT
SEGURANÇA EM PROGRAMAÇÃO_
NADA DE NOVO NO FRONT
HELLO!Edilson LimaGerente do CAIS, time de resposta a incidentes de segurança da RNP
PROMOVENDO O USO INOVADOR DE REDES AVANÇADAS
_ Sistema responsável pelo desenvolvimento, oferta e uso de serviços para atender às necessidades da pesquisa, educação e inovação.
_ Explora tecnologias de informação e comunicação emergentes, disponibilizando uma ciberinfraestrutura de recursos federados, seguros, de alta capacidade e desempenho.
CSIRT de coordenação do Sistema RNP, atua na detecção, resolução e prevençãode incidentes de segurança de rede, além de elaborar, promover e disseminarboas práticas de segurança nas organizações clientes da RNP.
Centro de Atendimento a Incidentes de Segurança
Incidentes de Segurança
Novos CSIRTs
Cultura de Segurança
Expertise
Vulnerabilidades de Segurança
_ Exploração de vulnerabilidades > Incidentes de segurança
Comunidade online que disponibiliza de estudos, documentação, ferramentas e tecnologias sobre segurança de aplicações web.
A1:2017-Injeção Falhas de injeção, tais como injeções de SQL, OS e LDAP ocorrem quando dados
não confiáveis são enviados para um interpretador como parte de um comando ou
consulta legítima.
Os dados hostis do atacante podem enganar o interpretador levando-o a executar
comandos não pretendidos ou a aceder a dados sem a devida autorização.
A2:2017-Quebra
de Autenticação
As funções da aplicação que estão relacionadas com a autenticação e gestão de
sessões são muitas vezes implementadas incorretamente, permitindo que um
atacante possa comprometer senhas, chaves, tokens de sessão, ou abusar de outras
falhas da implementação que lhe permitam assumir a identidade de outros
utilizadores.
A3:2017-
Exposição de
Dados Sensíveis
Muitas aplicações web e APIs não protegem de forma adequada dados sensíveis,
tais como dados financeiros, de saúde ou dados de identificação pessoal (PII). Os
atacantes podem roubar ou modificar estes dados mal protegidos para realizar
fraudes com cartões de crédito, roubo de identidade, ou outros crimes. Os dados
sensíveis necessitam de proteções de segurança extra como encriptação quando
armazenados ou em trânsito, tal como precauções especiais quando trocadas com o
navegador web.
_ Aviso importante!
_ Boas práticas de desenvolvimento Conheça a plataforma
Faça o tratamento de erros
Controle alterações
Olhe códigos prontos com cautela
Se preocupe com segurança em todo o ciclo
_ Boas práticas de desenvolvimento Conheça a plataforma
Faça o tratamento de erros
Controle alterações
Olhe códigos prontos com cautela
Se preocupe com segurança em todo ciclo
_ Boas práticas de desenvolvimento Conheça a plataforma
Faça o tratamento de erros
Controle alterações
Olhe códigos prontos com cautela
Se preocupe com segurança em todo o ciclo
_ Desenvolvimento seguro Não é “https” e senha de 40 caracteres
Gerenciamento do controle de acesso (autenticação e
autorização)
Validação das informações recebidas
Gerenciamento dos ataques sofridos
* Consulte o Guia de referência rápida OWASP
_ DevSecOps Análise de código em tempo de desenvolvimento
Testes de segurança do aplicativo (DAST, SAST...)
Ferramentas de análise de código
_ DevSecOps
_ Torne a segurança um assunto comum e frequente.
THANKS!Edilson [email protected]